Administrations et collectivités territoriales - Assurance - Cybersécurité

5 chiffres sur la cybersécurité des collectivités territoriales

9 juin 2023•Alexandra Shubenkova•4 min•

La fréquence des cyberattaques et les dommages qu’elles causent aux collectivités territoriales impliquent la nécessité de la sensibilisation à grande échelle des élus locaux et des agents territoriaux. Les pratiques d’anticipation et les bons réflexes sont à renforcer.

La cybersécurité constitue un enjeu majeur pour les collectivités territoriales. En juin 2023, l’association Déclic, qui collecte des chiffres sur les victimes d’actes de cybermalveillance, recensait 18 régions et départements, 37 agglomérations ou communautés de communes, 96 mairies et 39 hôpitaux, cliniques ou sapeurs-pompiers, visés depuis 2019 par des cyberattaques.

De nombreux facteurs contribuent à affaiblir les collectivités territoriales face aux cyberattaques. L’ANCTour – le salon des solutions organisé par l’Agence nationale de la cohésion des territoires (ANCT) le 22 mai 2023 à Paris – a montré les préoccupations majeures des collectivités territoriales dans leur déploiement de mesures de cybersécurité.

Un manque de sensibilité au risque cyber

65 %

Une enquête de Cybermalveillance.gouv.fr menée fin 2021 parmi les collectivités de moins de 3 500 habitants, a montré que 65% des petites collectivités négligent le risque cyber, voire le traitent comme inexistant, ou ne savent pas l’évaluer.

2/3 des interlocuteurs (maires, adjoints, agents, directions générales des services) n’ont pas été sensibilisés à la sécurité numérique. 57 % des responsables informatiques interrogés ne sont pas formés à la sécurité numérique.

L’importance des données gérées

Selon la CNIL, les collectivités locales et leurs établissements publics sont tenus à 3 obligations en matière de cybersécurité : la protection des données personnelles ; la sécurisation des téléservices locaux ; la sécurisation de l’hébergement des données de santé.

De telles obligations sont destinées à protéger un ensemble des données qui peuvent s’avérer très profitables aux cyberattaquants. Sur le darknet, la rançon pourrait atteindre jusqu’à 100 dollars pour un numéro de carte bancaire, et 800 dollars pour un dossier médical, selon les intervenants au salon de l’ANCTour.

Une perturbation durable des services locaux

30 jours

Selon Rodrigue Le Bayon, responsable du Centre de réponse à incidents chez Orange Cyberdéfense, « la perturbation des services prend environ 1 mois » pour être résolue, en fonction du degré de gravité.

Ainsi, en 2021, l’attaque de la région Grand Est a perturbé le fonctionnement et les services pendant plus d’une semaine, selon Irène Weiss, Conseillère régionale déléguée à la cybersécurité de la région Grand Est.

La ville de Houilles a subi une cyberattaque le 30 janvier 2022 : durant plusieurs semaines la ville n’a pas pu faire fonctionner normalement ses services.

Toutes les collectivités territoriales sont menacées

30 %

La surface d’attaque augmente. En 2020 déjà près de 30 % des collectivités territoriales ont été victimes d’une attaque au rançongiciel. Ainsi, les recherches d’assistance par les collectivités territoriales sur les attaques par rançongiciel auprès du dispositif national d’assistance aux victimes d’actes de cybermalveillance ont doublé de 2020 à 2022 : de 159 à 329 demandes.

L’association de référence de la sécurité du numérique en France, le Clusif, a constaté en 2020 une augmentation des cyberattaques contre les collectivités territoriales de 50 % par rapport à 2019. De son côté, l’agence de l’Union européenne pour la cybersécurité a observé que sur la période de juillet 2021 à juillet 2022, les administrations publiques ont été le secteur le plus ciblé par les cybercriminels avec 24,21 % des incidents signalés.

Un déficit de compétences

54 %

Les équipes locales de la sécurité des systèmes d’information ont besoin d’être renforcées. Dans son discours à l’ANCTour, le général Marc Boget, commandant de la gendarmerie dans le cyberespace, constatait que fin 2022, « 54 % des collectivités territoriales n’avaient pas de référent cybersécurité ». Ajoutant ensuite que « 40 % des collectivités territoriales n’avaient pas de délégué RGPD ».

Pour ces raisons, 77 % des petites collectivités externalisent la gestion de leur informatique, selon Cybermalveillance.gouv.fr. En conséquence, les autorités publiques doivent s’assurer que les prestataires de services informatiques externes sont fiables.

Sur la période 2021-2022, l’Agence nationale de la sécurité des systèmes d’information (Anssi) a bénéficié d’une enveloppe de 136 M€ pour renforcer la cybersécurité de l’État et des territoires, dont 60 M€ au profit des collectivités territoriales, via des parcours de cybersécurité, le co-financement de projets et le soutien à la création de Computer security incident response team régionaux (CSIRT – Centres de réponse aux incidents cyber).

Bien que les collectivités territoriales reçoivent la moitié du budget consacré à la cybersécurité des pouvoirs publics, les intervenants de l’ANCTour 2023 ont souligné que la sensibilisation des collectivités territoriales restait l’outil principal : un gage d’efficacité face aux cyberattaques, sans forcément dépenser plus.